PostgreSQL 信息泄露漏洞(CVE-2022-41862)

admin

0
文章

0
评论

2023-11-30 03:41:19 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

低危 PostgreSQL 信息泄露漏洞(CVE-2022-41862)

CVE编号

CVE-2022-41862

利用情况

暂无

补丁情况

官方补丁

披露时间

2023-02-09

漏洞描述

PostgreSQL是一个由PostgreSQL组织开发的自由对象关系型数据库管理系统。该项目的受影响版本存在内存泄漏漏洞。该漏洞是由于在建立连接时采用libpq库建立连接的客户端对于接收的字节长度没有限制所导致的。当libpq客户端缓存了Kerberos凭据并且没有显式禁用选项gssencmode时，攻击者便可控制PostgreSQL服务器在建立Kerberos传输加密时发送一个未终止的字符串，致使libpq客户端过度读取接收缓冲区后面的数据，包括未初始化的字节。继而，将这些未初始化的字节与错误消息一起返回到服务器端。若攻击者能够以某种方式读取到libpq客户端返回的消息，则可读取libpq客户端过度读取的字节（由于在PostgreSQL 9.2及以后的版本中，gssencmode参数的默认值为GSS_C_QOP_AUTHENTICATION，仅对身份验证信息进行加密保护。），进而可能导致客户端的敏感信息泄露。

解决建议

升级postgresql到11.19、12.14、13.10、14.7、 15.2 或更高版本

参考链接
https://bugzilla.redhat.com/show_bug.cgi?id=2165722
https://security.netapp.com/advisory/ntap-20230427-0002/
https://www.postgresql.org/support/security/CVE-2022-41862/

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	postgresql	postgresql	*	From (including) 12.0	Up to (excluding) 12.14
	运行在以下环境
	应用	postgresql	postgresql	*	From (including) 13.0	Up to (excluding) 13.10
	运行在以下环境
	应用	postgresql	postgresql	*	From (including) 14.0	Up to (excluding) 14.7
	运行在以下环境
	应用	postgresql	postgresql	*	From (including) 15.0	Up to (excluding) 15.2
	运行在以下环境
	应用	redhat	integration_camel_k	-	-
	运行在以下环境
	应用	redhat	integration_camel_quarkus	-	-
	运行在以下环境
	应用	redhat	integration_service_registry	-	-
	运行在以下环境
	系统	alpine_3.13	postgresql	*		Up to (excluding) 13.11-r0
	运行在以下环境
	系统	alpine_3.14	postgresql	*		Up to (excluding) 13.10-r0
	运行在以下环境
	系统	alpine_3.15	postgresql12	*		Up to (excluding) 14.7-r0
	运行在以下环境
	系统	alpine_3.16	postgresql12	*		Up to (excluding) 14.7-r0
	运行在以下环境
	系统	alpine_3.17	postgresql12	*		Up to (excluding) 14.7-r0
	运行在以下环境
	系统	alpine_3.18	postgresql14	*		Up to (excluding) 14.7-r0
	运行在以下环境
	系统	alpine_edge	postgresql13	*		Up to (excluding) 14.7-r0
	运行在以下环境
	系统	amazon_2	postgresql	*		Up to (excluding) 12.15-1.amzn2.0.1
	运行在以下环境
	系统	anolis_os_8	postgresql-plperl	*		Up to (excluding) 13.10-1.0.1
	运行在以下环境
	系统	debian_10	postgresql-11	*		Up to (excluding) 11.16-0+deb10u1
	运行在以下环境
	系统	debian_11	postgresql-13	*		Up to (including) 13.11-0+deb11u1
	运行在以下环境
	系统	debian_12	postgresql-15	*		Up to (excluding) 15.2-1
	运行在以下环境
	系统	debian_sid	postgresql-15	*		Up to (excluding) 15.2-1
	运行在以下环境
	系统	fedoraproject	fedora	8	-
	运行在以下环境
	系统	opensuse_Leap_15.4	postgresql13-devel	*		Up to (excluding) 15.2-150200.5.6.1
	运行在以下环境
	系统	oracle_8	oraclelinux-release	*		Up to (excluding) 13.10-1.module+el8.7.0+21022+658346a0
	运行在以下环境
	系统	oracle_9	oraclelinux-release	*		Up to (excluding) 13.10-1.el9_1
	运行在以下环境
	系统	redhat	enterprise_linux	8.0	-
	运行在以下环境
	系统	redhat_9	postgresql-private-libs-debuginfo	*		Up to (excluding) 13.10-1.el9_1
	运行在以下环境
	系统	suse_12_SP5	postgresql14-pltcl	*		Up to (excluding) 15.2-3.6.1
	运行在以下环境
	系统	ubuntu_20.04	postgresql-12	*		Up to (excluding) 12.14-0ubuntu0.20.04.1
	运行在以下环境
	系统	ubuntu_22.04	postgresql-14	*		Up to (excluding) 14.7-0ubuntu0.22.04.1
	运行在以下环境
	系统	ubuntu_22.10	postgresql-14	*		Up to (excluding) 14.7-0ubuntu0.22.10.1
	运行在以下环境
	系统	unionos_d	postgresql-11	*		Up to (excluding) 11.19.1-0+deepin1